Рабочая группа Эфириума, состоящая из разработчиков кошельков, компаний по кибербезопасности и инициативы Фонда Ethereum Trillion Dollar Security Initiative, сегодня запустила открытый стандарт, призванный положить конец слепому подписанию — структурному недостатку, который привел к миллиардным потерям пользователей, включая взлом Bybit. Инициатива Фонда Ethereum Trillion Dollar Security Initiative принимает активное участие в качестве надежно нейтрального управляющего реестром ясного подписания.
В большинстве крупных эксплойтов в приложениях, связанных с криптовалютой и блокчейном, последним шагом часто является не ошибка в коде, а одобрение транзакции пользователем. Даже когда взлом начинается с фишинга или компрометации инфраструктуры, последним шагом обычно становится подтверждение, которое пользователь не может осмысленно понять. Одобрение транзакции должно быть последней линией защиты при осуществлении контроля над тем, что происходит с вашими активами в блокчейне. Когда это делается вслепую, эта защита не работает.
Для того чтобы пользователи и организации чувствовали себя комфортно, храня активы на триллионы долларов в Эфириуме и взаимодействуя с ними, нашей целью должен стать принцип «Что видишь, то и подписываешь» (What You See Is What You Sign, WYSIWYS), а ясное подписание должно использоваться по умолчанию.
Сегодня одобрение транзакции часто означает попытку понять, что вы собираетесь сделать, на основе информации, которая не предназначена для чтения людьми. В ситуациях повышенного риска пользователи могут полагаться на отдельное устройство для перепроверки деталей, особенно если используемое ими приложение может быть скомпрометировано. На практике эта информация часто отображается в низкоуровневых, машиночитаемых форматах, которые точны, но сложны для интерпретации без технических знаний.
Что действительно необходимо, так это способ, с помощью которого как существующие, так и новые приложения в Эфириуме смогут предоставлять ясные, удобочитаемые и структурированные описания того, что будет делать транзакция, чтобы кошельки могли последовательно и надежно представлять эту информацию пользователям. Для достижения этой цели требуется общий формат для таких описаний (ERC-7730), реестр для их хранения и распространения, способ проверки их точности, а также инструменты, которые облегчат кошелькам и разработчикам внедрение этого подхода, наряду с надежно нейтральной стороной для поддержки инфраструктуры.
Любой желающий может добавить дескрипторы в эту систему. Их точность проверяется посредством независимых проверок и аттестаций, а кошельки сами решают, каким источникам доверять. Хотя эти дескрипторы предоставляются вместе с транзакцией, а не встраиваются непосредственно в нее, такой подход позволяет поддерживать как существующие, так и новые приложения, сохраняя при этом возможность независимой проверки их точности.
Инициатива Фонда Ethereum One Trillion Dollar Security Initiative берет на себя обязательство по размещению этой инфраструктуры и поддержке ее развития, при этом инструменты создаются и поддерживаются участниками всей экосистемы, а внедрение поощряется через сайт clearsigning.org, чтобы помочь сделать ясное подписание стандартом по умолчанию в Эфириуме.
Мы призываем разработчиков кошельков перенять этот подход и интегрировать поддержку ясных, удобочитаемых подтверждений транзакций. Разработчикам, создающим приложения, рекомендуется предоставлять точные описания того, что делают их транзакции, а экспертам по безопасности — проверять и подтверждать их правильность. Информацию о доступных инструментах, включая библиотеки Rust и TypeScript, финансируемые через 1TS, можно найти на сайте clearsigning.org.
Переходя на ясное подписание, мы укрепляем последнюю линию защиты и делаем экосистему Эфириума более безопасной, доступной и лучше подготовленной к следующей волне пользователей и институциональному внедрению.
Мы хотим выразить признательность и поблагодарить компанию Ledger за инициирование ERC-7730, а также за ранние усилия по созданию инструментов, инфраструктуры и образовательных материалов. Это целенаправленная многосторонняя инициатива, включающая вклад в исследования, разработку библиотек, аудит и координацию, в которой участвуют такие команды, как ZKnox, Sourcify, Cyfrin, Zama, WalletConnect, Fireblocks, Trezor, Keycard, МетаМаск, Argot, а также независимые участники со всей экосистемы.